Founder & Compliance Lead, Xtaiga
A NIS2 entrou em vigor em Portugal a 3 de abril de 2026, através do Decreto-Lei n.º 125/2025. Desde esse dia, milhares de empresas portuguesas têm obrigações concretas de cibersegurança — e muitas ainda não sabem se são abrangidas.
A pergunta mais importante: a minha empresa é abrangida?
A resposta depende de dois critérios: o sector de actividade e a dimensão da empresa.
Critério 1 — Sector de actividade
A NIS2 divide as entidades em dois grupos:
Entidades Essenciais — sectores de importância crítica:
- Energia (electricidade, gás, petróleo, hidrogénio)
- Transportes (aéreo, ferroviário, marítimo, rodoviário)
- Banca e mercados financeiros
- Saúde (hospitais, laboratórios, farmacêutica)
- Água potável e águas residuais
- Infraestrutura digital (DNS, datacenters, cloud)
- Administração pública central
- Espaço
Entidades Importantes — sectores de importância elevada:
- Serviços postais e de estafeta
- Gestão de resíduos
- Química
- Alimentação
- Indústria transformadora de dispositivos médicos, máquinas, veículos, equipamentos eléctricos
- Fornecedores digitais (motores de busca, redes sociais, plataformas online)
- Investigação
Critério 2 — Dimensão da empresa
Como regra geral, a NIS2 aplica-se a empresas com:
- Mais de 50 colaboradores, ou
- Volume de negócios anual superior a 10 milhões de euros
Atenção: algumas entidades são abrangidas independentemente da dimensão — por exemplo, fornecedores de serviços DNS, registos de nomes de domínio, e prestadores de serviços de confiança.
As 5 perguntas para saber se é abrangido
1. A sua empresa actua num dos sectores listados acima? Se não → provavelmente não é abrangido pela NIS2 (mas pode ser pelo GDPR e AI Act).
2. A sua empresa tem mais de 50 colaboradores ou fatura mais de €10M/ano? Se não → na maioria dos casos, não é abrangido.
3. A sua empresa presta serviços a entidades da administração pública? Se sim → pode ser abrangido como fornecedor crítico, mesmo sendo pequena empresa.
4. A sua empresa gere infraestrutura digital (servidores, DNS, cloud)? Se sim → é muito provável que seja abrangido independentemente da dimensão.
5. A sua empresa opera em sectores de saúde, energia ou transportes? Se sim → é quase certo que é abrangida como entidade essencial ou importante.
O que acontece se for abrangido
As obrigações principais são:
- Nomear um Responsável de Cibersegurança e comunicar ao CNCS (prazo já passou: 4 de maio de 2026)
- Implementar medidas de segurança proporcionais ao risco
- Notificar incidentes ao CNCS em 24 horas (alerta inicial) e 72 horas (notificação completa)
- Avaliar fornecedores de TIC e incluir cláusulas de segurança nos contratos
- Formar colaboradores em cibersegurança regularmente
Quais as consequências de não cumprir
As multas variam conforme a categoria:
- Entidades Essenciais: até €10.000.000 ou 2% do volume de negócios global
- Entidades Importantes: até €7.000.000 ou 1,4% do volume de negócios global
Para além das multas, os órgãos de gestão podem ser responsabilizados pessoalmente por dolo ou negligência grave.
Como avaliar a sua situação agora
A Xtaiga permite avaliar a conformidade NIS2 da sua empresa em 30 minutos, com um score de 0 a 100% e um plano de acção priorizado com os passos concretos a dar.
Avalie a conformidade da sua empresa gratuitamente → xtaiga.com/register
🔒© 2026 Xtaiga · Cleyderson Oliver. Todos os direitos reservados. A reprodução parcial é permitida desde que citada a fonte com link activo para xtaiga.com. O conteúdo deste artigo é protegido por direitos de autor nos termos da lei portuguesa e europeia.
Avalie a conformidade da sua empresa gratuitamente
30 minutos. Score automático para NIS2, GDPR, DORA, AI Act, ISO 27001 e ENS. Plano de acção incluído.
xtaiga.com/register